推文

@landiantech · 2026-10-14 18:17

#GitHub 为 #NPM 可信发布设置 48 小时验证期限，用于阻断研究人员发现的仓库名回收漏洞。 NPM 可信发布允许使用短期 OIDC 令牌发布软件包，无需在工作流中保存长期访问令牌。 研究人员在这个流程中发现漏洞，如果维护者重命名、转移或删除仓库，原仓库名就可能重新开放。 此时攻击者可以注册同名仓库获得 NPM 发布凭证，以原软件包名发布恶意版本。 查看全文：https://ourl.co/127347?x

曝光 180 · 评论 1 · 点赞 0 · 书签 0